Profil professionnel Android : vérifier la portée des stratégies et les limites du BYOD

La stratégie de profil professionnel Android Enterprise de Sophos Mobile s’applique aux appareils gérés en mode Android Enterprise work profile. Elle comprend notamment des configurations de mots de passe, de restrictions, d’applications, de Google Play et de messagerie. Elle concerne le BYOD, mais son nom ne garantit pas que chaque paramètre n’affecte que le profil professionnel. Ce brouillon précise la portée des effets documentés ; il ne constitue ni un modèle de stratégie approuvé ni une recommandation de seuils.

Arrêt avant déploiement BYOD : Ne pas attribuer en production un seuil de suppression après des tentatives infructueuses ni autoriser le partage de contacts et de données entre espaces professionnel et personnel sans validation des risques pour la confidentialité et de perte de données. Vérifier au préalable les sauvegardes et les possibilités de restauration, faire accepter explicitement le risque résiduel pour les données personnelles et tester les effets sur les versions d’Android et les appareils concernés. La documentation Sophos ne garantit ni retour à l’état antérieur ni préservation des données personnelles.

À distinguer : verrouillage de l’appareil (Android 11 et versions antérieures) : un seuil de tentatives infructueuses, s’il est disponible et configuré, peut effacer tout l’appareil. Verrouillage du profil professionnel : un tel seuil, s’il est disponible et configuré, supprime le profil professionnel. Les actions administratives de suppression relèvent d’un contexte distinct, qui dépend de l’interface utilisée : elles ne sont pas une conséquence de ces seuils de tentatives infructueuses.

Verrouillage de l’appareil et du profil professionnel : qu’est-ce qui est supprimé, et quand ?

Password policies – Device : Les règles concernent le verrouillage de l’écran de tout l’appareil. Pour Android 12 et les versions ultérieures, Sophos décrit les niveaux de complexité Low/Medium/High, sans y mentionner le champ Maximum sign-in attempts. Avant de se fier à ce verrouillage de l’appareil, tenir compte de SMCAND-3170. L’ancienne Password policy - Device ne demande pas de mot de passe pour l’appareil sur les appareils dotés d’un profil professionnel sous Android 12 ou une version ultérieure lorsqu’aucun mot de passe n’est encore configuré. Sophos indique comme prérequis la configuration de remplacement pour Android 12, introduite avec la version 2024.24 de Sophos Fusion Mobile, et la version 9.7.10339 de Sophos Mobile Control installée sur l’appareil. Cela ne confirme pas la compatibilité de toutes les versions ultérieures du client. Avant validation, vérifier la configuration et la version du client adaptées, ainsi que la demande effective de mot de passe et l’effet réel du verrouillage sur l’appareil de test ; la stratégie enregistrée ne suffit pas à les prouver. Sous Android 11 et les versions antérieures, Sophos n’affiche ce champ que pour Simple password, PIN or password, Alphanumeric password et Complex password, et non pour Pattern, PIN or password : après le nombre configuré de tentatives de connexion infructueuses, l’appareil est effacé, et non le seul profil. Ne pas recommander de valeur par défaut pour ce seuil sur les appareils personnels ; clarifier au préalable les sauvegardes personnelles, les pertes de données possibles, l’effet exact selon le système et l’appareil, ainsi que le consentement.

Password policies – Work profile : Le mot de passe de déverrouillage appartient au profil professionnel. Maximum sign-in attempts s’affiche pour Simple password, PIN or password, Alphanumeric password et Complex password, mais pas pour Pattern, PIN or password ni Weak biometric recognition. Après le nombre configuré de tentatives de connexion infructueuses, le profil professionnel est supprimé, avec ses applications et ses données. La disponibilité effective de certains paramètres dépend aussi de l’appareil et de la version d’Android ; Sophos renvoie aux indications de Mobile Admin. Prévoir à l’avance la restauration des données professionnelles et une nouvelle inscription ; il ne s’agit ni d’une réinitialisation de l’appareil ni d’un simple verrouillage sans conséquence.

Retrait administratif de la gestion :

• Sophos Mobile Admin : Un Wipe à distance de l’appareil entier n’est pas disponible pour les appareils dotés d’un profil professionnel. Wipe Android work profile supprime le profil professionnel, ses applications et ses données ; ensuite, Mobile Admin affiche l’appareil comme Unenrolled. Si l’utilisateur a déjà supprimé le profil, l’appareil ne peut plus recevoir cette commande.
• Sophos Fusion Admin : Selon Sophos, l’action appelée Wipe dans cette interface ne supprime que le profil sur les appareils dotés d’un profil professionnel. Le Wipe d’un ensemble de tâches Android comporte également une exception propre à ce type de profil. Ni l’un ni l’autre ne résulte du seuil de tentatives infructueuses du code de l’appareil.

Avant toute action destructive, confirmer avec la personne responsable du retrait de la gestion l’interface, le mode de gestion, le type de tâche et l’appareil cible ; le nom de l’action ne garantit pas la préservation des données personnelles.

La gestion des appareils Android Enterprise entièrement gérés est un autre mode : Sophos indique que leur désinscription entraîne une réinitialisation d’usine. Ce n’est pas le comportement de référence d’un profil professionnel BYOD.

Stratégie de conformité distincte : Cette configuration d’appareil n’est pas une stratégie de conformité. Des règles de conformité attribuées séparément peuvent refuser l’accès à la messagerie avec Deny email (uniquement si une connexion au proxy EAS de Sophos Mobile est configurée) ou envoyer un ensemble de tâches ; Sophos avertit que des ensembles mal configurés peuvent effacer des appareils. La présentation générale des actions de conformité décrit Lock container pour Android Enterprise comme bloquant toutes les applications, à six exceptions près ; l’indication distincte concernant les applications désactivées vise expressément les appareils entièrement gérés. Pour les appareils dotés d’un profil professionnel, Sophos décrit en revanche, sous Set container access / Auto mode, le blocage du profil professionnel, de ses applications et de ses notifications lorsqu’une règle comportant Lock container est enfreinte. Ces indications ne permettent pas d’établir si l’action de conformité bloque les applications personnelles sur un appareil BYOD donné doté d’un profil professionnel, ou si elles restent utilisables. Vérifier les effets sur les applications personnelles de l’appareil concerné avant de recueillir le consentement et d’appliquer la règle. La conséquence des tentatives infructueuses de saisie du code décrite plus haut n’est pas une mesure de conformité générale. Avant un pilote BYOD, vérifier séparément avec les responsables les règles, actions et ensembles de tâches attribués au groupe d’appareils : ne pas en déduire ici de correction automatique ni de configuration de référence sûre.

Restrictions : examiner le sens de circulation des données, pas seulement « le travail »

Restrictions est ajouté automatiquement à la création d’une stratégie de profil professionnel et ne peut pas être retiré. Avant toute modification, documenter dans quel sens circulent les données, qui est concerné et comment observer puis annuler la modification.

Autres paramètres et leurs limites

Avant toute attribution, se demander : qu’est-ce qui n’agit que dans le profil professionnel et qu’est-ce qui doit être fourni ou vérifié séparément ?

• App Control : Un groupe d’applications (liste d’applications sélectionnées) détermine celles dont le lancement est interdit. Il ne s’agit ni d’une installation d’applications ni d’un blocage établi de toutes les applications personnelles ; vérifier la composition du groupe et le comportement au lancement sur un appareil de test. Avant de bloquer Chrome de manière ciblée, vérifier les dépendances des applications professionnelles à WebView. Dans SMCAND-2931, Sophos décrit un scénario de profil professionnel à partir d’Android 8 dans lequel l’application WebView interne est désactivée par défaut et n’est activée que lorsque Chrome est activé. Sinon, les applications qui en dépendent peuvent cesser de fonctionner. Ce dysfonctionnement décrit ne vaut pas pour tous les appareils actuels ni pour toutes les versions ultérieures d’Android ; vérifier les applications concernées sur l’appareil de test prévu.
• App permissions : Seules les autorisations à l’exécution des applications professionnelles sont contrôlables. Depuis Android 12, l’administration ne peut pas accorder à la place de l’utilisateur l’accès à la localisation, à l’appareil photo, au microphone, aux capteurs corporels et à l’activité physique, mais peut le refuser. Auto-accept/Auto-deny empêche toute modification ultérieure par l’utilisateur ; les services d’accessibilité et l’optimisation de la batterie peuvent encore susciter des demandes à l’utilisateur. Vérifier le réglage initial et les exceptions par application pour chaque version du système.
• App Protection : Un mot de passe commun à certaines applications professionnelles n’offre pas une protection d’accès complète : un accès par d’autres applications ou fonctions du système, ou en mode multifenêtre, peut se faire sans cette demande de mot de passe. Tester avant utilisation le groupe d’applications, le délai de grâce (période sans nouvelle demande) et les autres voies d’accès.
• Google Play : La stratégie contrôle l’accès aux applications approuvées ou à toutes les applications Google Play dans le Play Store du profil professionnel, ainsi que les préférences de mise à jour automatique. Approbation, déploiement et suppression des applications sont des opérations distinctes.
• Password services : L’autorisation ou le blocage des gestionnaires de mots de passe concerne uniquement le profil professionnel ; Allow system apps n’est disponible qu’en mode autorisation et peut exclure le gestionnaire par défaut du fabricant. Vérifier l’accès et les possibilités de récupération avant de définir des listes restrictives.
• Email account : Sophos configure un compte Exchange dans Gmail au sein du profil professionnel. Les anciennes configurations Gmail gérées déjà présentes restent prioritaires, même si elles sont vides. Les espaces réservés nécessitent un identifiant de connexion Exchange et une adresse e-mail dans Sophos Fusion ; pour utiliser Gmail avec OAuth, Chrome doit être installé dans le profil professionnel. Après une modification de l’identifiant de connexion Exchange par l’ADSync Utility, comparer, avant tout déploiement utilisant $username ou %_USERNAME_%, la valeur Exchange login sous People dans Sophos Fusion avec celle de l’objet utilisateur sous Mobile > People. Selon SMCSRV-15474, Mobile peut conserver l’ancienne valeur et transmettre ainsi des valeurs erronées pour les espaces réservés. Si les valeurs diffèrent, arrêter le déploiement et clarifier la situation avec les responsables. Sophos décrit une mise en concordance hebdomadaire à des moments qui dépendent du tenant, et non un délai de résolution garanti. Le retour à l’état antérieur est lui aussi limité : selon SMCAND-2929, un compte Exchange transmis reste dans le profil professionnel lorsque la stratégie est retirée. Une autre configuration Email peut remplacer la précédente ; selon ce dysfonctionnement décrit, le compte lui-même ne peut être supprimé qu’en supprimant tout le profil professionnel. La priorité des anciennes configurations Gmail mentionnée plus haut reste à respecter. Cela n’autorise pas la suppression du profil ; celle-ci reste un cas destructif de retrait de la gestion, à approuver séparément, avec perte des applications et des données du profil professionnel. Faire vérifier séparément par les responsables de la messagerie le point de terminaison cloud, la compatibilité EAS et la vérification des certificats. Exchange Online n’accepte pas l’authentification Basic pour EAS ; les options Sophos Basic et Allow all certificates n’autorisent pas leur emploi comme solution de contournement.

Approbation uniquement après vérification sur un appareil de test

Relever le mode de gestion, la version d’Android, le comportement de l’appareil et de son fabricant, l’édition et le tenant Sophos, l’appareil et le groupe cibles ainsi que les règles de conformité distinctes. Avant chaque modification, consigner la stratégie précédente, ses paramètres, sa version et son attribution pour le périmètre testé ; vérifier les sauvegardes et les possibilités de restauration. Observer la réception et l’effet de la stratégie sur un appareil de test non indispensable, dont l’utilisateur a donné son consentement et qui contient des données personnelles de test. Une stratégie pour les profils professionnels Android Enterprise se crée sous Policies > Android > Create, en choisissant le type de stratégie correspondant, puis s’enregistre ; ne l’attribuer de manière ciblée à un appareil ou groupe de test sélectionné qu’après validation. La seule attribution dans la console ne prouve pas l’effet sur l’appareil : attendre la connexion et la synchronisation, puis vérifier la version et l’état de la stratégie sur l’appareil cible, le cas échéant séparément pour l’API Google et l’agent MDM dans Sophos Fusion. Prévoir la suppression du profil uniquement comme un cas distinct et destructif de retrait de la gestion.

Définir le retour à l’état antérieur à l’avance : Une stratégie de profil professionnel ne peut pas être désinstallée avec Uninstall policy ; il faut plutôt la mettre à jour d’après les paramètres précédents documentés ou attribuer une autre stratégie préalablement vérifiée. Les modifications de ce type de stratégie sont synchronisées à la prochaine connexion de l’appareil à Sophos Mobile, et non par la procédure Update devices destinée aux anciennes stratégies d’appareils Android. Après cette connexion, vérifier de nouveau l’attribution, la version, l’état des composants et le comportement réel de l’appareil. Si l’appareil ne se connecte pas, si un composant présente un état inattendu ou si l’effet persiste, ne pas déclarer le retour à l’état antérieur terminé et ne rien attribuer en production. Une modification de stratégie ne récupère pas les données déjà copiées dans l’espace personnel et ne restaure pas les données effacées du profil professionnel ou de l’appareil.

Exemple non destructif : Pour une modification approuvée de l’autorisation du presse-papiers, copier un texte de test depuis une application professionnelle vers une application personnelle ; seule la circulation des données attendue au préalable doit se produire. Suivre ensuite la procédure prévue de mise à jour ou de remplacement de la stratégie et, après confirmation de la synchronisation, refaire le test avec un nouveau texte. Si le comportement diffère ou si l’autorisation reste active, ne pas attribuer la stratégie en production et consulter les responsables de la protection des données et de la gestion mobile. Ne pas tester sur des appareils personnels les seuils de suppression après des tentatives infructueuses.

Sans preuve de l’effet réel, sans vérification des possibilités de restauration et sans acceptation des risques résiduels de perte de données, aucune attribution ou recommandation de stratégie en production. L’inscription et le consentement BYOD, le déploiement des applications, le Wi-Fi, le VPN et SCEP, l’authentification Exchange, l’attribution des stratégies et le retrait destructif de la gestion relèvent de responsabilités distinctes.